Gold Eagle Clearinghouse apunta a una brecha real, pero no está claro cómo
El Águila Real de la Casa Blanca ha aterrizado.
Después del anuncio el Centro de Coordinación de Vulnerabilidad “Gold Eagle” El 2 de junio, la Casa Blanca lanzó la iniciativa el 14 de julio. La capa de colaboración se anunció como parte de los planes más amplios de la Casa Blanca para modernizar la ciberseguridad nacional, en previsión de que los grandes modelos lingüísticos (LLM, por sus siglas en inglés) como Claude Mythos de Anthropic cambiarán fundamentalmente el panorama de la vulnerabilidad.
La cámara de compensación fue planificada por el Ministro de Finanzas, Scott Bessent, en consulta con el Director Nacional Cibernético, Sean Cairncross; el secretario de Defensa, Pete Hegseth, representado por el director de la Agencia de Seguridad Nacional (NSA), Joshua Rudd; y el secretario de Seguridad Nacional, Markwayne Mullin, representado por el director interino de la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), Nick Andersen.
El AI Clearinghouse es una colaboración voluntaria con la industria de la IA y la infraestructura crítica que, según el original, «coordina el escaneo y la resolución de conflictos de vulnerabilidades de software, descubre y valida dichas vulnerabilidades y coordina y prioriza la corrección y distribución de parches de vulnerabilidad». Reglamento de aplicación.
El anuncio del lanzamiento. contiene más detalles sobre el propósito de la cámara de compensación.
«Los socios de software de código abierto y las empresas estadounidenses de infraestructura crítica han creado un sistema coordinado para detectar y remediar vulnerabilidades cibernéticas a un ritmo y escala sin precedentes, aprovechando las autoridades y recursos existentes del gobierno federal», dijo. La Casa Blanca, el Departamento del Tesoro y otros socios federales “trabajaron estrechamente con socios de la industria para permitir una detección más rápida de exploits y desarrollar una respuesta rápida y priorizada a las vulnerabilidades cibernéticas en nuestros sectores de infraestructura críticos”.
La Casa Blanca describió a Gold Eagle como un multiplicador de fuerzas que aprovecharía la frontera AI Capacidades y avance más rápido que los adversarios al mismo tiempo que elimina esfuerzos de escaneo duplicados y proporciona inteligencia de remediación y amenazas procesables y priorizadas en todos los sectores. La iniciativa ya ha comenzado a rastrear y priorizar las vulnerabilidades identificadas en todas las industrias e industrias, así como a coordinar las verificaciones de escaneo.
Sin embargo, a pesar del lanzamiento de esta iniciativa para toda la industria, los detalles de su implementación final siguen sin estar claros.
¿Qué es Gold Eagle de todos modos?
Gold Eagle se lanza mientras la industria de la seguridad reflexiona sobre un inminente «vulnpocalipsis» que los defensores pronto tendrán que afrontar Al enfrentarse a un número sin precedentes de errores, gracias a modelos como Mythos.
Águila Dorada es basado en VINCEel entorno de coordinación e información de vulnerabilidades, desarrollado por el Instituto de Ingeniería de Software de la Universidad Carnegie Mellon en colaboración con el gobierno de Estados Unidos. VINCE es una plataforma de larga data utilizada por el Centro de Coordinación del Equipo de Respuesta a Emergencias Informáticas (CERT/CC) para la divulgación y coordinación de vulnerabilidades.
Casey Ellis, fundador de Bugcrowd y discover.io, explica que Gold Eagle es «actualmente un proceso de coordinación disfrazado de un sistema técnico».
«Es una cámara de compensación: recoge vulnerabilidades, clasificalas con IA, compártelas. Esto es un proceso y un organigrama, no una nueva pieza de infraestructura, y la publicación tiene cuidado de no afirmar nunca lo contrario», explica.
Katie Moussouris, fundadora y directora ejecutiva de Luta Security y pionera en la remediación de vulnerabilidades, le dice a Dark Reading que la brecha de coordinación de vulnerabilidades intersectoriales de Gold Eagle es «real» porque el Catálogo de vulnerabilidades explotadas conocidas (KEV), la Base de datos nacional de vulnerabilidades (NVD) y los Centros de análisis e intercambio de información (ISAC) no abordan la priorización intersectorial. Y como lo hizo dijo mucho tiempoLos problemas de política de gestión de vulnerabilidades no desaparecen por sí solos.
«El obstáculo fue no volver a oír hablar de errores. Fue contar con las personas y los procesos necesarios para priorizarlos y corregirlos y asegurarse de que no vuelvan a ocurrir», dice. “Priorización de la renovación después de lo nuevo”. BSB 26-04 por definición requiere habilidades y procesos en cada organización afectada, ya que dos y posiblemente tres de cuatro de los criterios de priorización son subjetivos y específicos de la organización.
BOD 26-04 es el nuevo criterio de CISA para determinar la prioridad de remediación por organización. Los criterios, introducidos el 10 de junio, incluyen el estado KEV (si se conoce la explotación), si el activo está disponible públicamente, si la vulnerabilidad puede explotarse automáticamente y cuál es el impacto técnico.
citas de Moussouris La última autopsia del CISA que sus claves de AWS estarán expuestas en un repositorio público de GitHub durante seis meses, como un ejemplo de algo que resalta las debilidades de los procesos preexistentes a nivel federal.
Ellis está de acuerdo en que la premisa detrás de Gold Eagle es correcta y que la brecha es real. Sin embargo, teme que Gold Eagle “actualmente se describa con verbos en lugar de nombres”.
“Coordinar, priorizar, eliminar conflictos, parchar incansablemente”, afirma. «Genial. ¿Quién, bajo qué autoridad, con qué protección de datos y con qué financiación? Ahí es donde esto vive o muere».
Gold Eagle: La perspectiva de la política y las partes interesadas
Rik Turner, analista senior de ciberseguridad de Omdia (también propiedad de Informa TechTarget), cree que los proveedores de software e infraestructura crítica responderán positivamente a Gold Eagle y acoge con agrado el intento de racionalizar la respuesta al «vulnpocalipsis» que se avecina.
El Relación compleja que tiene la actual Casa Blanca con la IA – y el proceso político en Estados Unidos – tampoco le pasaron desapercibidos.
«Glasswing ciertamente había demostrado la necesidad de una autoridad central para coordinar la respuesta internacional al Vulnpocalipsis propiciado por el mito. El hecho de que una entidad así ejerza ahora el poder del gobierno de Estados Unidos debería, a primera vista, darle más peso y tal vez incluso garantizar neutralidad y equidad», dice Turner. “Sin embargo, estamos hablando de la administración Trump, y Gold Eagle está emergiendo en un Estados Unidos extremadamente tenso y altamente polarizado donde cualquier cosa que salga de la Casa Blanca puede ser y será vista con sospecha, por no decir escepticismo”.
Sounil Yu, director de IA de Knostic, dice que si el gobierno quiere apoyar a las partes interesadas a través de «capacidades de IA de vanguardia», la aplicación más útil sería algo que acelere la implementación de correcciones de vulnerabilidades.
«La búsqueda proactiva de vulnerabilidades no era la limitación. Incluso encontrar una solución o un parche no era una limitación significativa. Tradicionalmente, la limitación era implementar la solución dondequiera que se implementara el software», afirma. «Pero si lo descomprimes más, implementa la solución y luego vuelve a confirmar que todo está funcionando como se esperaba».
De manera similar, Sachin Jade, director de productos de Cyware, le dice a Dark Reading que, si bien las herramientas de inteligencia artificial pueden descubrir vulnerabilidades más rápido de lo que cualquiera puede responder a ellas, también hay retrasos en determinar qué resultados son reales, priorizar la gravedad y desarrollar e implementar una solución.
«Este programa es un buen comienzo y nosotros, como industria, debemos trabajar juntos para perfeccionar nuestros enfoques, aumentar la velocidad de la defensa, fortalecer los intercambios y la defensa colectiva y ser proactivos en nuestro pensamiento», dice Jade.
Nos llegó este contenido de ciberseguridad de: DarkReading
Podrás encontrar la noticia original en el enlace que sigue: https://www.darkreading.com/vulnerabilities-threats/gold-eagle-clearinghouse-targets-security-gap
